CVE-2025-11201 in MLflow
Riassunto
di VulDB • 27/06/2026
Vulnerabilità di Directory Traversal ed Esecuzione Remota di Codice (RCE) nella creazione della directory dei modelli del server MLflow Tracking Server. Questa vulnerabilità consente agli attaccanti remoti di eseguire codice arbitrario sulle installazioni colpite di MLflow Tracking Server. Non è richiesta l'autenticazione per sfruttare questa vulnerabilità.
La specifica debolezza esiste all'interno della gestione dei percorsi dei file dei modelli. Il problema deriva dalla mancanza di una corretta convalida di un percorso fornito dall'utente prima del suo utilizzo nelle operazioni sui file. Un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto dell'account di servizio. Era ZDI-CAN-26921.
If you want to get best quality of vulnerability data, you may have to visit VulDB.